Ĉifrado kaŝas la datumojn; aŭtentigo nomas la kunulon
Ĉifrado protektas la enhavon, aŭtentigo de la kunulo nomas la servilon, kaj rajtigo decidas, kion identeco rajtas malfermi. Demandu ĉiujn tri en VPN-aranĝo.
Ĉifrado sen kontrolo de la kunulo povas liveri konfidan interparolon al la malĝusta partio. Aŭtentigo sen rajtigo pruvas, kiu aliĝis, sed ne kion li rajtas malfermi. Tiuj estas tri apartaj regiloj, kaj VPN-recenzo, kiu demandas nur pri la ĉifro, respondas al unu el ili. Ordigi la demandojn antaŭ ol malfermi ajnan agordan paĝon.
Kvar demandoj antaŭ ol nomi ĝin sekura
Kvar demandoj kadras la recenzon: kion observantoj povas legi, kiu servilo respondas, kiu aliĝas, kaj kion tiu identeco rajtas uzi. La unuan respondas ĉifrado, la duan aŭtentigo de la kunulo, la trian aŭtentigo de uzanto aŭ aparato, kaj la lastan rajtigo. Ĉifra nomo aŭ sukcesa saluto estas nur parta respondo.
| Control | Question it answers | What a failure looks like |
|---|---|---|
| Encryption | Who can read the traffic | Readable content on the path |
| Peer authentication | Which server is answering | Certificate or key mismatch |
| Joining identity | Which user or device connected | Rejected credentials |
| Authorization | What that identity may use | Access denied inside a working tunnel |
Aranĝo, kiu lasas unu vicon netraktita, ne fariĝas sekura per plifortigo de alia. La regiloj komplementas unu la alian, ili ne estas interŝanĝeblaj.
Aŭtentigo de la kunulo ne estas saluto
La kliento kontrolas, ke la servilo estas la celita, per agorditaj atestiloj, publikaj ŝlosiloj aŭ alia subtenata mekanismo. Fidinda atestila aŭtoritato ne faras ĉiun atestilon, kiun ĝi iam eldonis, la ĝusta servilo, do la identa kontrolo restas grava. Tajpi validan pasvorton en nekontrolitan finpunkton ne faras tiun finpunkton fidinda. La pasvorto pruvas nur, ke vi pretis aŭtentigi vin al kiu ajn respondis.
WireGuard montras la saman ideon per aliaj rimedoj: agordita kunula ŝlosilo faras identan kontrolon sen atestila fenestro laŭ retumila stilo. Komuna sekreto konata de multaj uzantoj identigas la grupon pli ol unu personon, kaj tial unika aparata legitimilo ofte portas pli fortan identecon.
Aŭtentigita ĉifrado estas kriptografia termino
Aŭtentigita ĉifrado signifas, ke la ĉifro protektas konfidecon kaj detektas neaŭtorizitajn ŝanĝojn. Ĝi ne signifas, ke homo salutis, kaj ĝi ne decidas, kiujn dosierojn konto rajtas malfermi. Nomo de ĉifra suito priskribas konstruaĵon, ne rilaton inter du partioj. Paka integreco, identeco de la kunulo kaj kontaj permesoj estas rilataj postuloj kun apartaj pruvoj.
La fida profilo RFC 5280 estas la referenco por atestilaj vojoj kaj identaj kontroloj, kiam la deplojo uzas X.509. Legi ĝin pli utilas ol trakti la vorton aŭtentigita kiel sinonimon de sekura.
Legu la malsukceson antaŭ ol malfortigi regilon
Eksvalidiĝinta atestilo, malĝusta sistema horloĝo kaj neatendita servila identeco havas ĉiu sian korekton. Malakceptita konto havas alian. Se la servilo laŭleĝe ŝanĝiĝis, prenu la ĝisdatigitan fidmaterialon de la kontrolita funkciigisto. Forigi la identan kontrolon, por ke la tunelo konektiĝu, interŝanĝas videblan malsukceson kontraŭ nevidebla.
Protektu la legitimilojn, de kiuj la tunelo dependas. Profilo povas enhavi privatan ŝlosilon, kaj konservita pasvorto povas doni malproksiman aliron. Kiam unu likas, uzu la kontan aŭ ŝlosiladministran procezon de la servo, ĉar elekti alian landon en la klienta dosierujo ne revokas la malnovan identecon.